Securify – Nền tảng quản lý bề mặt tấn công và đánh giá lỗ hổng

3-shake Inc. là công ty công nghệ Nhật Bản thành lập tháng 1/2015, trụ sở tại Ginza, quận Chuo, Tokyo, với khoảng 140 nhân viên. Bên cạnh tư vấn SRE và nền tảng dữ liệu, công ty phát triển Securify để giúp tổ chức tìm ra rủi ro bảo mật trên hệ thống công khai trên Internet và đẩy nhanh việc khắc phục mà không cần đội bảo mật nội bộ lớn.

Securify là nền tảng bảo mật trên đám mây gộp nhiều loại kiểm tra vào một giao diện. Securify ASM khám phá tài sản công khai từ tên miền, dải IP và tài khoản đám mây, đồng thời cảnh báo phần phơi nhiễm chưa được quản lý. Module chẩn đoán lỗ hổng web quét website và API, kể cả trang cần đăng nhập, API REST, GraphQL và ứng dụng một trang, kèm bằng chứng và ví dụ cách sửa. Module CSPM giám sát thiết lập công khai và phân quyền trên sáu nền tảng đám mây, còn module SBOM đối chiếu thành phần trong kho mã và image container với lỗ hổng đã biết. Nhà cung cấp cho biết có hơn 400 khách hàng trong tài chính, sản xuất và CNTT, gồm NTT Data, ROHM và Yanmar Holdings.

• Quản lý bề mặt tấn công: Khám phá tài sản công khai từ tên miền, IP, môi trường đám mây và cảnh báo phơi nhiễm chưa quản lý.
• Quét lỗ hổng web và API: Kiểm tra trang cần đăng nhập, API REST, GraphQL và ứng dụng một trang.
• Quản lý tư thế bảo mật đám mây: Giám sát thiết lập công khai và phân quyền trên sáu nền tảng đám mây.
• Quản lý SBOM: Trích xuất thành phần từ kho mã, image container và đối chiếu lỗ hổng đã biết.
• Theo dõi khắc phục: Ghi trạng thái, bình luận cho từng phát hiện và xuất danh sách tài sản ra CSV.
• Chẩn đoán định kỳ: Chạy quét theo lịch và xuất báo cáo PDF cho ban lãnh đạo và kiểm toán.

Ngân hàng khu vực có thể phát hiện toàn bộ tên miền phụ và dịch vụ web đang công khai trên Internet và quét chúng theo lịch. Nhà bán lẻ chạy nhiều website khuyến mãi có thể tìm ra trang lỗi thời hoặc bị bỏ quên trước khi bị khai thác. Doanh nghiệp sản xuất vốn Nhật tại Việt Nam có thể kiểm tra thiết lập đám mây và image container dùng cho hệ thống nhà máy.

Tổ chức có một danh mục chung về tên miền, IP và tài sản đám mây công khai, giảm điểm mù từ hệ thống bị bỏ quên hoặc không được quản lý. Quét web và API theo lịch thay thế một phần các đợt đánh giá thủ công tốn kém và có thể chạy trước mỗi lần phát hành. Mỗi phát hiện kèm bằng chứng, ví dụ cách sửa và báo cáo PDF để đội phát triển xử lý mà không cần chuyên gia bảo mật. Theo dõi trạng thái và bình luận theo từng phát hiện giúp đội ngũ bám sát việc khắc phục đến khi hoàn tất.

Kẻ tấn công ngày càng nhắm vào tên miền phụ bị bỏ quên, máy chủ thử nghiệm và dịch vụ đám mây bị phơi ra ngoài, khiến quản lý bề mặt tấn công bên ngoài trở thành nhóm giải pháp tăng nhanh. Cơ quan quản lý và kiểm toán cũng yêu cầu đánh giá lỗ hổng định kỳ cho hệ thống web và API. Ngân hàng, nhà bán lẻ và nhà sản xuất Việt Nam có nhiều website, backend ứng dụng di động và dịch vụ đám mây cần khám phá liên tục thay vì kiểm thử xâm nhập một lần.

3-shake Inc. thành lập tháng 1/2015, trụ sở tại Ginza, quận Chuo, Tokyo, khoảng 140 nhân viên. Các mảng kinh doanh khác gồm Sreake (tư vấn SRE), Reckoner (nền tảng dữ liệu) và Relance (nhân sự kỹ thuật). Securify được xếp hạng Leader nhóm đánh giá lỗ hổng tại ITreview Grid Award 11 kỳ liên tiếp.